Informationssicherheit für IT-Dienstleister: Kundendaten schützen
Kundendaten über den gesamten Auftrag hinweg schützen
IT-Dienstleister erhalten häufig Informationen und Zugänge, die sie nur für einen bestimmten Auftrag benötigen. Informationssicherheit beginnt deshalb bereits bei der Auftragsklärung und endet nicht mit der technischen Umsetzung. Auch Übergabe, Aufbewahrung und Entzug von Berechtigungen müssen geregelt sein.
Zunächst wird festgelegt, welche Daten benötigt werden, wie sie bereitgestellt werden und wer darauf zugreifen darf. Die Sicherheitsanforderungen des Kunden gehören in die Abstimmung, bevor das Projektteam mit eigenen Annahmen arbeitet.
Anforderungen an den Projektübergängen klären
- Auftragsbeginn: benötigte Informationen, zulässige Nutzung und Ansprechpartner festlegen.
- Durchführung: geeignete Ablagen und Übertragungswege verwenden, Zugriffe begrenzen und Änderungen abstimmen.
- Störungen: Meldewege und Befugnisse für dringliche Maßnahmen kennen.
- Auftragsende: Ergebnisse übergeben, nicht mehr benötigte Rechte entziehen und mit verbleibenden Daten vereinbarungsgemäß umgehen.
Die Aufgaben sollten so beschrieben sein, dass auch eine Vertretung erkennen kann, was noch zu erledigen ist. Besonders bei mehreren Kunden ist die Trennung ihrer Informationen und Arbeitsbereiche zu beachten.
Ein Beispiel für einen geregelten Abschluss
Nach einer Migration benötigt das Projektteam seinen temporären Kundenzugang nicht mehr. Die technische Leistung ist bereits abgenommen. Ein gesonderter Abschlusscheck prüft, ob Zugänge entfernt, lokale Arbeitskopien behandelt und erforderliche Dokumente übergeben wurden. Die zuständige Person bestätigt das Ergebnis.
Ohne diesen Schritt können Berechtigungen weit über ihren ursprünglichen Zweck hinaus bestehen bleiben.
Zusammenarbeit nachvollziehbar machen
Die gemeinsamen Empfehlungen von CISA und weiteren Sicherheitsbehörden betonen klare Verantwortlichkeiten zwischen Dienstleister und Kunde. Dazu gehören verständliche Vereinbarungen über Zugriffe, Überwachung und den Umgang mit Sicherheitsereignissen.
Ein Dienstleister sollte nur Leistungen und Kontrollen als umgesetzt darstellen, die im konkreten Auftrag tatsächlich vereinbart und angewendet werden. Allgemeine Unternehmensregeln ersetzen keine Klärung der jeweiligen Kundenschnittstelle.
Bei laufenden Betriebsleistungen werden zusätzlich Mandanten und zentrale Plattformen im MSP-ISMS betrachtet. Für administrativen Kundenservice konkretisiert die Seite zur Informationssicherheit für Systemhäuser die erforderlichen Zugriffs- und Kontrollabläufe.
Quellen und fachliche Grundlagen
- AA22-131A – Schutz von Managed Service Providern und ihren Kunden – CISA und internationale Sicherheitsbehörden
- BSI-Standard 200-1 – Managementsysteme für Informationssicherheit – Bundesamt für Sicherheit in der Informationstechnik